AWS re:Invent 2025のネットワーク関連のセッション&アップデートから手を入れる場所を考える

本記事はすべて人力で書きました。

はじめに

AWS re:Invent 2025も終わり、2025年も終了ムードが漂ってきています。

re:Invent 2025終了時点でNetwork & Contents Deliveryカテゴリのアップデートは107件あり、2024年の58件と比較するとほぼ倍、2023年と2022年は約100件でしたので、どちらかというと昨年がやや少なめで例年並みといえるかもしれません。今年のアップデートのうち、11月以降のアップデートは35件ありましたので、やはり年末にアップデートが集中する傾向は変わりません。

したがって、この11月のアップデートもre:Inventのセッションの中で初めて触れる機会も多いと思いますので、これらのアップデートの傾向をまとめながら、2026年に取り組んでいく方向性を検討してみたいと思います。

対象とする読者

• AWSのネットワーク関連のアップデートをザックリ知りたい方
• 2026年のインフラ周りの強化の方針を検討したい方

2025年のリファレンスアーキテクチャと2026年のリファレンスアーキテクチャの差分

まず、2025年のリファレンスアーキテクチャと2026年のリファレンスアーキテクチャにはどのような差分があるでしょうか？
re:Inventのセッションには、こうしたネットワーク関連のアップデートをまとめてくれているBreakout Sessionがありますのでこちらを参考にします。

AWS re:Invent 2025 - Advanced VPC design and new capabilities (NET340)

こちらのセッションの最後の方に、リファレンスアーキテクチャがあります。

2024年末のリファレンスアーキテクチャ

(上記の動画より引用)

2025年末のリファレンスアーキテクチャ

(上記の動画より引用)

主な差分

このリファレンスアーキテクチャを眺めていると、次のような差分を見つけられます。

1. API Gateway Portal
2. Amazon CloudFront 定額プラン
3. Amazon Route 53 Global Resolver
4. Regeional NAT Gateway
5. Network FirewallとTransit Gateway統合
6. Network Firewall Endpointが複数のVPCに対応
7. IPv6は（20+サービス⇒100+サービスへ）
8. VPN Concentrator
9. Customer Gatewayでeero対応
10. VPC暗号化コントロール
11. Cloud WAN SecurituGroup参照
12. VPC LatticeにおけるCustomer DNS対応
13. AWS Interconnect -multicluod

これらを大きく分類すると、このような方向性が見えてきます。

• 外部ネットワークと接する個所のネットワークセキュリティの改善
• VPC内部のネットワークセキュリティ改善
• VPC間接続の改善

この図からは読み取れないのですが、CloudFront、API Gateway、ALB/NLBでのPQC対応やTLS 1.3、HTTPSレコード対応といったセキュリティレベルの強化や、Network Firewallのアプリケーション層での機能強化など本年はネットワークセキュリティ関連が目立つ年でもありました。

なんでこんなことになってるの？

主に2つの要因が考えられています。

• 生成AIを悪用したサイバー攻撃実行ハードルの低下
• 量子コンピューター実用化が現実味を帯びてきたことと、RSA-2048の2030年問題

実際に、2022年は組織あたり週1,168件の攻撃件数¹だったのが2025年には週2,003件²、AI駆動型のサイバー攻撃はYoYで72％増加³、Gartnerによると、2027年までに全サイバー攻撃の17%が生成AIを活用したものになるという予測⁴もあり、ネットワーク層においてもセキュリティ強化は必要になってきています。
既知の脆弱性についてはLLMのデータセットに含まれており、こうした脆弱性が放置されたままのシステムはこれまで以上にサイバー攻撃を受けやすい状況になっています。

考慮すべき個所

こうした世の中の動向とAWS側の準備状況を踏まえて、2026年のネットワーク層の改善点を具体的に検討していきます。

外部ネットワークと接する個所のネットワークセキュリティ改善

Ingress方向（外部ネットワークからAWSへ向かう方向）

Ingress方向については、以下を主に検討します。

• CloudFrontの導入（未導入の場合）

• CloudFrontにおけるTLS1.3対応

• CloudFrontにおけるHTTPSレコード対応

定額プランが出たことで小規模リクエストのワークロードでも利用しやすくなったこと、TLS1.3対応によるPQC（ポスト量子暗号/耐量子計算機暗号）の導入、VPCオリジンによるALB/NLBのプライベートサブネット移行があります。
AWS WAFについても、2025年6月に対応したL7 DDoS対策をCloudFrontに入れることができるようになったので、このあたりを検討ポイントとします。

Egress方向（AWSから外部ネットワークへ向かう方向）

Egress方向については、以下を主に検討します

• NAT GatewayのリージョナルNATゲートウェイへの変更

こちらはどちらかというと可用性の観点の意味合いが強いですが、シングルVPCの場合は積極的に移行を検証したほうがよさそうです。

Egress方向のアップデート検証については、こちらのAWS Ambassador Advent Calenderも参考になります。

• Route 53 Global ResolverによるDNS Firewall、DoT（DNS over TLS）等の統一的なDNSセキュリティの対応

双方向

双方向のネットワークセキュリティについては、下記を主に検討します。

• パブリックサブネットの廃止検討
  今回のアップデートを踏まえて、本格的にパブリックサブネットの廃止が検討できるようになりました。
  Ambassador Advent Calenderにはこちらが参考になります。

• Site-to－Site VPNの必要帯域と見直し
  11月に5Gbpsプランと、100Mbps以下のConcentratorによる集約

VPC内部のネットワークセキュリティ改善

内部のネットワークセキュリティについては、NW Firewallの本格導入が考えられます。

• Network FirewallのAWS Marketplaceマネージドルールによる包括的なネットワークトラフィック制御

Network Firewallは高度なネットワークトラフィック制御やインスペクションが可能な一方で、Suricataでの記述という点で少し学習コストが高く、初学者にとってはハードルの高い場所でした。
マネージドルールが対応したことで、最低限を守れるようにします。

（関連）AWS re:Invent 2025におけるネットワーク関連のセッションで押さえておきたい動画

上記で紹介したNET340以外にも、この二つを見ておくとよいと思います。

AWS re:Invent 2025 - The power of cloud network innovation (INV213)

AWS re:Invent 2025 - Powering your success through AWS Infrastructure innovations (NET402)

まとめ

今年のネットワーク周りのアップデートを一言でまとめると「ネットワークセキュリティの年」だったと思います。
適切なネットワークセキュリティの設計を行い、インフラ周りをより強化していきましょう！

脚注

1. https://www.allaboutai.com/resources/ai-statistics/ai-cyberattack/ ↩

2. https://blog.checkpoint.com/research/global-cyber-attacks-increase-in-november-2025-driven-by-ransomware-surge-and-genai-risks ↩

3. https://www.allaboutai.com/resources/ai-statistics/ai-cyberattack/ ↩

4. https://securityboulevard.com/2025/12/2026-will-be-the-year-of-ai-based-cyberattacks-how-can-organizations-prepare/ ↩